GMOによる政府への「能動的サイバー防御」要請、政府側が「慎重な姿勢」をとる理由
GMOインターネットによる能動的サイバー防御の緊急要請は、日本のサイバー安全保障政策が、制度の整備から実際の運用と成果の検証へ移行する局面で生じた重要な事案である。
現状（2026年10月時点）
2026年10月、日本のサイバー安全保障政策は、攻撃を受けた後に被害を調査・復旧する従来型の対応から、攻撃の兆候を把握し、被害が深刻化する前に攻撃基盤の無害化を図る対応へと制度的な転換点を迎えた。こうした転換を象徴する事案として注目されているのが、GMOインターネットによる政府への「能動的サイバー防御」の緊急要請である。
同社は2026年10月24日、外国為替証拠金取引の自動売買向けに提供していた「お名前.com デスクトップクラウド」に対するサイバー攻撃を受け、政府関係機関に対して、能動的サイバー防御の「発動第1号」事案として位置付けるよう求めた。今回の問題は、民間企業の情報システムが侵害されたという技術的な事件にとどまらず、個人の金融資産への被害、企業の管理責任、政府の介入権限、国境を越えるサイバー犯罪への対処能力という複数の政策課題を同時に浮き彫りにした。
ただし、ここでは重要な区別が必要となる。GMOが制度の適用を要請したことは確認できる一方、その要請によって政府が能動的サイバー防御の発動を決定したことや、攻撃元に対する無害化措置を実施したことが確認されたわけではない。企業による緊急要請、政府による法的・政策的な判断、実際の措置の実施は、それぞれ異なる段階として評価しなければならない。
制度面では、2025年に成立したサイバー対処能力強化法と同整備法のうち、官民連携の強化やアクセス・無害化措置に関する規定が2026年10月1日に施行された。したがって、本件は制度の運用開始から間もない時期に発生した、実際の民間被害を通じて制度の適用範囲と実効性が問われる初期事例として位置付けられる。
本稿の分析では、企業が公表した事実、報道機関が伝えた政府関係者の見解、法令に定められた制度上の要件、そして政策的な評価を区別する。とりわけ、企業側が深刻な被害を訴えていることと、政府が法令に基づく無害化措置を実施できることは同義ではなく、この違いを理解することが一連の問題を正確に把握する出発点となる。
何が起きているのか（事案の経緯）
本件の発端は、GMOインターネットが提供する外国為替取引の自動売買向け仮想専用サーバーサービスにおいて、利用者のサーバー環境への不正なプログラムの設置が確認されたことである。同社の2026年10月24日付の公表内容によれば、10月19日に顧客から問い合わせを受けて調査を開始し、20日には一部の利用者のサーバー環境で不正なプログラムを確認した。
同社は被害の拡大を防ぐため、21日に全プランのサーバーを順次停止した。22日には警察への相談を行い、その後も調査や利用者への対応を進める一方、攻撃者とみられる者から金銭の支払いを要求され、要求に応じなければ同社や顧客に関する情報を公開するなどと脅迫されたと説明している。
この経緯で注目すべきなのは、問題がサーバーへの不正侵入だけで完結していない点である。不正なプログラムの設置によって利用者の認証情報などが取得され、それが金融取引の不正操作につながった可能性があるほか、攻撃者側は情報公開や追加攻撃を示唆することで、被害企業に対する継続的な圧力をかけていたとされる。
さらに、同社は10月24日、利用者の不正取引による損失を補償する方針を公表し、政府に能動的サイバー防御の適用を緊急要請した。これは、被害者への救済と企業自身による事後対応に加え、攻撃者側の活動基盤に対して政府が措置を講じる必要があるという問題提起であった。
もっとも、公開情報だけでは、攻撃者の身元、具体的な侵入経路、攻撃に使用された全てのサーバーの所在地、背後に犯罪組織や外国政府が存在するかどうかなどを確定できない。攻撃者とみられる者から脅迫があったことは、国家が関与した攻撃であることの証明にはならず、犯罪集団による金銭目的の攻撃と国家が関与するサイバー作戦は、証拠に基づいて区別する必要がある。
したがって、本件を分析する際には、確認済みの侵害事実、同社が説明した被害と脅迫の内容、捜査によって今後明らかになる可能性のある攻撃主体の属性を混同してはならない。この区別は、後述する能動的サイバー防御の発動要件を検討するうえでも決定的に重要となる。
大規模な不正アクセスと被害の発生
本件の被害は、サーバー内部の情報漏えいやサービス停止にとどまらず、利用者が保有する金融資産に影響した点で重大性を持つ。同社によれば、一部利用者のサーバー環境に設置された不正なプログラムを通じ、外国為替取引などに使用する口座のログイン情報が第三者に取得され、不正に利用された可能性がある。
金融取引における認証情報の窃取は、一般的な個人情報漏えいとは異なる危険性を持つ。攻撃者が取引口座を操作できる状態になれば、不正注文による損失を生じさせるだけでなく、相場変動を利用した損害の拡大や、被害の発覚を遅らせる操作が可能になる場合もある。ただし、本件で個々の操作がどのように行われたかについては、公開情報だけでは全容を確定できない。
また、同社は攻撃者とみられる者からの金銭要求に加え、要求に応じなければ国内外の証券会社や外国為替取引会社など70社超における利用者の取引口座への不正操作を継続するとの脅迫を受けたと説明している。これは、実際に70社超で被害が確認されたという意味ではなく、攻撃者側が主張した脅迫内容と、確認済みの被害範囲を区別する必要がある。
この事案は、クラウド事業者の侵害が、そのサービスを利用する個人や企業、さらに外部の金融サービスへと被害を波及させ得ることを示している。とりわけ、利用者が自ら管理できないサーバー環境に取引情報を保存している場合、サービス提供者側の防御上の欠陥が利用者の資産リスクへ直結する構造が生まれる。
一方、同社は利用者への見舞金として一律5,000円を支払う方針を示すとともに、不正取引による損失を補償する方針を公表した。これは被害者救済に向けた対応であるが、補償の実施と攻撃者の活動停止は別の問題であり、金銭的な救済だけで再発防止や犯罪の抑止が達成されるわけではない。
政府への「能動的サイバー防御」の緊急要請
GMOが政府に求めたのは、被害企業への助言や捜査支援だけではなく、能動的サイバー防御の「発動第1号」事案として本件を位置付け、国主導で攻撃基盤の追跡、遮断、無害化に向けた実効的な措置を講じることであった。同社は、国境を越えて活動する高度なサイバー犯罪集団に対して、個別企業が自力で防御や事後対応を行うだけでは限界があると主張した。
この要請の背景には、民間企業が攻撃を受けた際に、自社のシステムを復旧させるだけでは攻撃者側の能力を奪えないという問題がある。攻撃者が複数のサーバーや中継地点を使い分け、侵入経路を変更しながら活動を続ける場合、被害企業が一つの接続先を遮断しても、別の基盤から再び攻撃される可能性が残る。
能動的サイバー防御は、こうした問題に対して、政府が必要な情報を収集・分析し、法令に定める要件を満たす場合に攻撃基盤の無害化を実施する制度である。ただし、あらゆるサイバー犯罪に対して政府が自由に攻撃元へ侵入し、機器やプログラムを停止できるという制度ではない。
ここで、GMOの要請には2つの異なる論点が含まれている。第1は、個人の金融資産に実害が生じ、追加攻撃も脅迫されている事案を、国家が優先的に対処すべき重大な脅威として評価できるかという問題である。第2は、その脅威が認められたとして、現行法の要件に基づいて政府が具体的な無害化措置を実施できるかという問題である。
この2つは同一ではない。社会的な重大性が高い事件であっても、法定要件を満たさなければ特定の措置を実施できない場合があり、反対に、法的な権限が存在しても、攻撃主体や対象設備を十分に特定できなければ、実行に踏み切れないこともある。
したがって、今回の要請を単純に「政府が民間企業の救済を拒んだ」と解釈するのも、「企業の要請には法的な意味がない」と切り捨てるのも適切ではない。重要なのは、民間企業が把握した被害情報を政府の脅威評価へ結び付ける経路と、実際の措置を決定する法的・行政的な手続きが、どの程度整備されているかを検証することである。
政府側が「慎重な姿勢」をとる理由
2026年10月24日、GMOインターネットが能動的サイバー防御の「発動第1号」として本件を位置付けるよう政府に求めたのに対し、報道では、政府関係者から「個別企業の求めに応じて発動を決める制度ではない」との見解が伝えられた。ここで示された慎重姿勢は、被害の重大性を軽視しているというよりも、国家が持つ強制的なサイバー対処権限を、どのような条件と手続きで行使するかという制度上の問題に関係している。
能動的サイバー防御は、民間企業からの要請を受けて攻撃者を追跡する一般的な捜査支援制度とは異なる。重大なサイバー脅威を政府が把握・評価し、法定の要件を満たす場合に、警察などの関係機関が攻撃に使われるサーバー等へのアクセスや無害化措置を行うための枠組みであり、発動の判断は企業の意思だけで決められるものではない。
この点で、政府の慎重姿勢には少なくとも4つの合理的な理由がある。第1に、攻撃主体と攻撃基盤を十分に特定できているかという証拠上の問題、第2に、対象となる攻撃が法律の定める脅威の水準に達しているかという法的な問題、第3に、無害化措置が第三者のシステムや通信に及ぼす影響、第4に、措置を実施することで政府の能力や運用手法が攻撃者に知られる可能性である。
特に、攻撃に使用されたサーバーが海外に置かれている場合、その設備が攻撃者本人の管理下にあるとは限らない。第三者のクラウド事業者が提供する共用設備や、侵害された一般利用者の機器が攻撃に悪用されている可能性もあり、対象の誤認は無関係な企業や個人に被害を及ぼしかねない。
また、政府が攻撃元とみられるサーバーにアクセスしてプログラムを停止・削除する措置を講じる場合、単に攻撃通信を遮断するだけでなく、対象システムの機能、保有データ、他の利用者への影響を検討する必要がある。攻撃者の活動を止めることだけに注目し、対象設備の所有者や第三者への影響を軽視すれば、被害防止を目的とした措置が新たな被害を生む可能性がある。
さらに、国家のサイバー対処能力は、実施の有無や手順を逐一公表すればよいという性質のものではない。攻撃者が政府の検知方法、対象の選定基準、対応速度を把握すれば、攻撃手法を変更して検知を回避する可能性があるため、政府には説明責任と運用上の秘匿性を両立させる必要がある。
したがって、政府の慎重姿勢を評価する際には、対応を急ぐことだけを成果とみなすべきではない。適切な証拠に基づき、必要性と相当性を確認し、無関係な第三者への影響を最小限に抑えながら措置を実施できるかどうかが、制度の実効性と正当性を左右する。
制度上の法的根拠・発動要件の不一致
本件をめぐる重要な論点は、GMOが訴える被害の深刻さと、能動的サイバー防御に関する法律が想定する発動要件との間に、評価のずれが存在する可能性である。GMOは、利用者の金融資産を標的とした不正操作や追加攻撃の脅迫を理由として、国主導による攻撃基盤の追跡・遮断・無害化を求めているが、企業側の危機認識がそのまま法的な発動要件を満たすことを意味するわけではない。
サイバー対処能力強化法は、重大なサイバー攻撃による被害の防止を目的とし、一定の条件の下で政府が攻撃に使用される設備等へアクセスし、無害化措置を実施できるようにする制度的基盤である。制度の趣旨は、個々の企業の被害を救済することそのものではなく、国や重要な社会機能を含むサイバー空間の安全を確保し、重大な脅威が現実の被害へ発展することを防ぐ点にある。
このため、法的な判断では、被害額が大きいかどうかだけでなく、攻撃がどのような性質を持つか、どの程度の危害を生じさせるおそれがあるか、攻撃の組織性や計画性を裏付ける証拠があるか、対象となる設備を特定できるかといった要素が問題となる。一般的な金銭目的の犯罪であっても被害は深刻になり得るが、そのことだけで国家安全保障上の措置を当然に発動できるとは限らない。
報道によれば、無害化措置は、人の生命、身体または財産に対する重大な危害を防ぐ目的で実施され、特に高度に組織的かつ計画的な海外からの攻撃には、警察と自衛隊が共同で対処する枠組みが設けられている。また、措置の実施には独立機関による事前承認が原則として必要とされ、緊急時には事後通知が認められる仕組みなど、権限行使を統制するための手続きも設けられている。
ここで注意すべきなのは、「財産に対する重大な危害」という観点と、「高度に組織的かつ計画的な海外からの攻撃」という観点は、同じ意味ではないという点である。前者は危害の重大性に関する評価であり、後者は攻撃の性質や関与主体に関する評価であるため、金融資産への被害が確認されても、攻撃者の属性や組織性が十分に立証されなければ、特定の措置を選択できない可能性がある。
本件では、利用者の取引口座が不正操作されたことや、攻撃者とみられる者から金銭要求と追加攻撃の脅迫があったことが企業から公表されている。しかし、それだけでは攻撃者が外国政府と関係しているのか、組織的な犯罪集団なのか、あるいは複数の主体が関与しているのかを確定できないため、政府は技術的な痕跡、通信記録、攻撃手法、関係する設備の管理主体などを分析する必要がある。
したがって、制度上の「不一致」とは、単純に法律が民間企業を救済しないという意味ではない。企業が求める迅速な被害停止と、政府が法的に正当化できる措置を選択するための証拠・要件・手続きとの間に、時間的・制度的な隔たりが生じ得るという意味である。この隔たりを埋めるには、法改正だけでなく、民間からの情報提供、脅威評価、関係機関間の連携、判断過程の透明性を一体として改善する必要がある。
「事前防止」と「事後対応」のタイムラグ
能動的サイバー防御の制度設計を理解するうえで重要なのは、攻撃が発生する前に兆候を把握して被害を防ぐことと、攻撃が発生した後に原因を調査し、再発や追加被害を防ぐことの違いである。両者は連続した対策ではあるが、必要となる情報、実施できる措置、判断の緊急性は大きく異なる。
事前防止では、通信情報の分析、脅威情報の共有、既知の攻撃手法との照合、脆弱性の把握などを通じて、攻撃の兆候や攻撃基盤を早期に発見することが重要になる。これに対し、攻撃が成功した後は、侵入経路の特定、被害範囲の確定、認証情報の無効化、端末やサーバーの隔離、証拠の保全、利用者への通知など、複数の対応を並行して進めなければならない。
GMOの事案では、同社の公表によれば、10月19日に利用者からの問い合わせを受けて調査が始まり、20日に不正なプログラムの設置が確認され、21日に全プランのサーバーが順次停止された。その後、利用者の取引口座に関する被害報告や攻撃者からの脅迫への対応が進められ、24日に政府への緊急要請が公表された。つまり、政府に能動的サイバー防御の適用を求めた段階では、すでに侵害が確認され、サービス停止や被害拡大防止のための措置が始まっていた。
この時間的な順序は、制度の有効性を考えるうえで重要な意味を持つ。攻撃前に脅威を検知できれば、攻撃者の侵入や情報窃取を未然に防げる可能性がある一方、攻撃後に無害化措置を講じても、すでに流出した情報や実行された不正取引を自動的に元へ戻すことはできない。
さらに、攻撃が確認された後の調査には時間を要する。攻撃者が使用した設備を特定するには、通信記録や不正プログラムの解析が必要であり、複数の中継サーバーや侵害された第三者の機器が関与していれば、攻撃基盤の全容を把握することは容易ではない。証拠の確認が不十分なまま対象設備を停止すれば、無関係な利用者の業務を妨げたり、捜査に必要な情報を失ったりするおそれもある。
したがって、能動的サイバー防御は、被害発生後の対応を不要にする制度ではない。むしろ、事前の兆候把握、攻撃中の封じ込め、攻撃後の捜査と復旧を連動させることで、攻撃者が活動を継続できる時間と範囲を縮小する仕組みとして評価する必要がある。
本件から導かれる政策的な課題は、企業が被害を認識してから政府が対応を検討するまでの時間を、どのように短縮するかという点にある。被害の発生後に初めて情報が集まり始める構造では、制度が整備されていても先制的な効果は限定されるため、平時からの情報共有、共通の報告基準、迅速な脅威評価、官民間の連絡体制を整備することが不可欠となる。
厳格な意思決定プロセスと制約
能動的サイバー防御の実施には、技術的に攻撃基盤を停止できるかどうかだけでなく、その措置を国家が法的に実施できるかどうかという判断が必要となる。攻撃者が利用する設備へのアクセスや無害化は、対象の所有者、設備の所在地、他の利用者への影響、証拠の確実性などを考慮しなければならず、一般的な企業のセキュリティ対策よりも広い法的・外交的な問題を伴う。
2026年10月1日に関連規定の施行が始まった制度では、国家サイバー統括室、警察庁、防衛省・自衛隊などの関係機関が連携し、重大な脅威の把握と対処を進める体制が整えられた。政府は、攻撃に使用される設備等を対象に無害化措置を実施するための枠組みを設ける一方、権限行使に対する承認や監督の手続きを組み合わせている。
この仕組みには、権限の濫用を防ぎ、政府による措置の正当性を確保するという意義がある。政府が攻撃者と疑われる設備へアクセスする場合、対象の特定を誤れば第三者の情報やサービスに影響を与える可能性があり、措置の必要性と相当性を審査することは、制度への社会的信頼を維持するうえでも不可欠である。
一方、手続きの厳格さは、緊急時の対応速度との間に緊張関係を生む。攻撃が進行中で、被害が短時間で拡大する状況では、情報収集、対象の特定、法的要件の確認、承認、実施機関間の調整を迅速に進めなければならない。手続きが複雑で、判断の責任や情報の受け渡し先が不明確であれば、必要な措置が遅れる可能性がある。
しかし、対応速度を高めるために承認や監督を形式化することも適切ではない。サイバー空間では、攻撃に使用される設備が第三者によって管理されている場合や、同じ設備が複数のサービスを提供している場合があるため、無害化の対象を誤れば、攻撃者だけでなく無関係な利用者にも影響が及ぶ。制度の実効性は、単に早く動けることではなく、正確な対象特定と適切な権限行使を両立できることによって評価されるべきである。
海外の設備を対象とする場合には、さらに国際法や外交上の問題が加わる。外国の領域にあるサーバーへ政府機関がアクセスする行為は、対象国の主権、現地の法制度、設備の管理者の権利などとの関係を慎重に検討する必要があり、国内での措置と同じ感覚で実行できるとは限らない。
本件のような事案に対応するためには、政府がどの段階で企業から情報を受け取り、どの機関が脅威を評価し、どの条件で無害化措置の実施を判断するのかを、実務上明確にすることが重要となる。緊急時の判断経路をあらかじめ整理し、必要な証拠の種類や共有方法を定めることによって、適法性を確保しながら対応の遅延を抑えることが可能になる。
また、政府は個別事案の具体的な作戦内容を全て公表する必要はないものの、制度がどのような基準で運用され、どのような監督を受けるのかについては、可能な範囲で説明責任を果たす必要がある。秘密保持と民主的統制を両立させる仕組みこそが、能動的サイバー防御を一時的な緊急措置ではなく、法治国家における持続可能な政策として定着させるための基盤となる。
浮き彫りになった主な課題
GMOインターネットの事案は、能動的サイバー防御の法制度が整備されても、民間企業が直面するサイバー攻撃の被害を直ちに解消できるわけではないことを示している。特に重要なのは、攻撃の検知、被害の封じ込め、攻撃主体の特定、法的な発動判断、無害化措置、被害者救済という一連の過程が、異なる組織と異なる判断基準に分かれている点である。
第1の課題は、攻撃主体と攻撃基盤を正確に特定することである。サイバー攻撃者は、仮想専用サーバー、海外のクラウド設備、侵害された一般利用者の機器などを組み合わせ、通信経路を複雑化させることがある。そのため、攻撃に使われた通信元の特定と、攻撃を実際に指示した主体の特定は区別しなければならず、特定の設備を停止しただけでは攻撃組織そのものを無力化できない場合がある。
第2の課題は、民間企業が把握する技術情報を、政府の法的判断に必要な証拠へ変換することである。企業の情報システム部門は、不審な通信や不正なプログラム、認証情報の悪用などを検知できても、その攻撃が国家安全保障上の重大な脅威に該当するかどうかを単独で判断する立場にはない。一方、政府が制度に基づく措置を検討するには、被害の規模だけでなく、攻撃の性質、対象設備、危害の切迫性、措置の必要性などを総合的に評価する必要がある。
第3の課題は、攻撃を受けた企業の責任と、国家が担う安全保障上の責任との境界である。クラウド事業者には、自社サービスの安全性を確保し、侵害を検知して封じ込め、利用者へ適切に情報提供する責任がある。しかし、複数の国や事業者にまたがる攻撃基盤の追跡、外国に所在する設備への措置、国家レベルの脅威評価までを、個別企業の責任だけで完結させることは現実的ではない。
第4の課題は、被害発生後の補償と、攻撃そのものを抑止する対策の違いである。GMOが利用者への補償方針を示したことは、被害者救済の観点から重要であるが、補償は損失を一定程度埋め合わせるための措置であり、攻撃者の再侵入や他社への攻撃を防ぐものではない。被害者救済、企業のセキュリティ改善、警察による捜査、国家による脅威対処は、相互に補完し合う別個の機能として整備する必要がある。
第5の課題は、制度の成果を何によって測定するかである。能動的サイバー防御の成否を、無害化措置の発動件数や攻撃者側の設備を停止した回数だけで評価すれば、予防効果や第三者への影響、再発率といった重要な要素が見落とされる。むしろ、重大な被害の回避、攻撃の継続時間の短縮、同一の攻撃手法による再侵害の減少、被害企業の復旧時間、措置に伴う副次的な損害などを組み合わせて評価するべきである。
以上の課題は、能動的サイバー防御が単独で機能する制度ではないことを示している。技術的な検知能力、企業の危機管理、警察の捜査、政府の脅威評価、法的な統制、国際的な協力が連動しなければ、制度が持つ潜在的な能力を実際の被害軽減につなげることは難しい。
官民における「制度理解と期待値」のギャップ
本件で特に重要なのは、企業が求める対応と、政府が制度上実施できる対応との間に、期待値の違いが存在する可能性である。民間企業が大規模な攻撃を受け、利用者の資産に被害が生じた場合、企業側は攻撃者の活動を直ちに停止させ、被害の再発を防ぐための強力な措置を政府に期待することがある。
しかし、政府の能動的サイバー防御は、企業からの要請を受けて攻撃者を排除する請負サービスではない。国家として対処すべき脅威かどうかを評価し、法令上の要件を満たしていることを確認したうえで、適切な権限と手続きに基づいて措置を決定する制度である。
この違いは、官民のどちらかが制度を理解していないという単純な問題ではない。企業は、目の前で発生している被害を止めることを最優先に考えるのに対し、政府は、個別企業の被害に加えて、社会全体への影響、国家安全保障上の意味、法的な権限、国際関係、第三者への影響を考慮しなければならないからである。
また、企業が保有する情報と、政府が必要とする情報にも違いがある。企業は自社のサーバーや利用者の被害に関する詳細なログを保有している一方、攻撃者が利用する海外設備や別の企業への侵入状況については、十分な情報を持っていないことがある。政府は複数の企業や機関から情報を集約できる可能性があるものの、情報提供が遅れたり、形式が統一されていなかったりすれば、脅威全体を把握するまでに時間がかかる。
したがって、官民連携では、単に情報共有を促すだけでなく、何を、どの形式で、どの時点までに共有すべきかを明確にする必要がある。例えば、侵入の確認時刻、不正な通信先、侵害された設備の識別情報、攻撃に利用されたプログラムの特徴、被害の拡大状況、既に実施した封じ込め措置などを標準化して共有できれば、政府側の初期評価を迅速化できる可能性がある。
一方、情報共有には、顧客の個人情報、営業秘密、システム構成、脆弱性の詳細など、慎重な取扱いが必要な情報が含まれる。企業が情報を提供することで責任追及や評判の悪化につながると懸念すれば、報告が遅れたり、情報が限定的になったりする可能性があるため、秘密保持、目的外利用の制限、報告企業への適切な保護なども制度設計上の重要な要素となる。
さらに、企業が政府に情報を提供した後、どのような判断が行われたのかを全く把握できなければ、制度への信頼が低下するおそれがある。作戦上の秘密を保護する必要があるとしても、受理の確認、担当機関への引き継ぎ、追加情報の要求、対応可能な支援の範囲などについては、機密性に配慮した説明を行うことが望ましい。
官民の期待値のずれを縮小するには、企業に対して政府の権限と限界を周知すると同時に、政府側も民間の被害対応の速度や実務上の制約を理解する必要がある。企業が期待できる支援と、政府が法令上実施できる措置を平時から明確にし、重大事案が発生した際に双方が共通の前提で行動できる体制を構築することが、制度の実効性を高める条件となる。
法制度の過渡期における限界
2026年10月は、能動的サイバー防御に関する新たな制度が実際の運用段階へ移行した直後に当たる。この時期に発生したGMOの事案は、法律上の権限が整備されていることと、その権限を個別の事件に適用して効果的な措置を実施できることの間に、なお実務上の隔たりが存在し得ることを示す事例として捉えられる。
法制度の整備は、政府に新たな権限を付与するだけでは完結しない。実際の運用には、判断基準の具体化、担当機関の役割分担、技術的な調査能力、情報共有の手順、監督体制、緊急時の意思決定方法などが必要であり、これらが一体として機能することで初めて制度の実効性が確保される。
特に、制度の運用開始直後には、どのような事案を重大な脅威として評価するか、どの程度の証拠があれば対象設備を特定できたと判断するか、どのような措置が必要かつ相当と認められるかについて、実務経験が十分に蓄積されていない可能性がある。個別の事件を通じて判断の基準や機関間の連携方法を検証し、必要に応じて運用を改善することが求められる。
ただし、制度の初期段階における問題を、直ちに法律の欠陥と断定することは適切ではない。法律が意図的に設けた制約と、運用手順や技術的能力の不足による制約を区別する必要があるからである。前者には法解釈や立法政策の検討が必要となる一方、後者には組織体制の整備、訓練、情報共有の標準化、設備への投資などが有効となり得る。
また、能動的サイバー防御の制度が対象とする脅威と、日常的に発生するサイバー犯罪の全体が一致するわけではない。金銭目的の不正アクセス、身代金要求、個人情報の窃取、企業システムの破壊などは重大な被害をもたらし得るが、全ての事案が同じ法的根拠による無害化措置の対象になるわけではない。一般的な犯罪捜査、企業自身による防御、関係機関による情報共有、国家安全保障上の措置を適切に使い分ける必要がある。
さらに、制度の有効性は、攻撃者側の行動変化によっても左右される。特定の攻撃基盤が無害化されたとしても、攻撃者が別の国や事業者の設備に移行したり、攻撃手法を変更したりすれば、被害が再発する可能性がある。したがって、単一の事案に対する措置だけでなく、継続的な脅威情報の収集、攻撃手法の分析、脆弱性の修正、関係事業者間の連携を通じて、攻撃者の適応に対応する仕組みが不可欠となる。
制度の過渡期に求められるのは、強力な権限の行使を急ぐことだけではない。実際の事案から得られた知見を検証し、法的な統制を維持しながら判断と対応の速度を高めることである。GMOの事案を、制度が機能したか否かという二者択一で評価するのではなく、どの段階で情報が不足し、どの判断に時間を要し、どのような改善が可能かという観点から分析することが、今後の政策形成にとって重要となる。
官民連携の限界線の明確化
GMOインターネットの事案から得られる重要な教訓の1つは、サイバー攻撃への対応を民間企業だけに委ねることにも、政府の強制的な権限に過度に依存することにも限界があるという点である。企業には自社の情報システムと利用者を保護する責任がある一方、複数の事業者や国境を越えて展開する攻撃に対しては、政府による情報集約、捜査、国際協力、法令に基づく対処が必要となる場合がある。
この役割分担を明確にするには、まず、企業自身が実施する防御、警察による犯罪捜査、政府による国家安全保障上の措置を区別する必要がある。企業は不正な通信の遮断、侵害された設備の隔離、認証情報の変更、脆弱性の修正、利用者への通知などを実施できるが、犯罪捜査や外国の設備に対する強制的な措置は、適用される法律と権限に従って関係機関が判断しなければならない。
特に重要なのは、政府への情報提供や支援要請が、そのまま政府による無害化措置の実施を意味するわけではないことである。企業が深刻な被害を報告した場合、政府は情報を受け取り、脅威の評価や関係機関への引き継ぎを行い得るが、具体的な措置を決定するには、法的要件、対象設備の特定、措置の必要性、第三者への影響などを検討する必要がある。
官民連携の実効性を高めるには、重大事案が発生してから初めて連絡経路を探すのではなく、平時から報告先、連絡責任者、必要な技術情報、緊急時の対応手順を明確にしておくことが望ましい。とりわけ、クラウド事業者、金融機関、通信事業者、セキュリティ事業者などが関係する事案では、各組織が保有する情報を迅速に集約できる体制が被害拡大の防止に直結する。
一方、情報共有を拡大する場合でも、個人情報、営業秘密、顧客の取引情報、システムの脆弱性に関する情報を無制限に共有することは適切ではない。共有する情報の目的、利用範囲、保存期間、アクセス権限、第三者への提供条件を明確にし、必要最小限の情報を安全に共有する仕組みを整える必要がある。
さらに、企業が政府に支援を要請した場合に、どこまでの対応を期待できるのかを事前に示すことも重要となる。企業が求める即時の攻撃停止と、政府が法令に基づいて実施できる措置の範囲が一致しない可能性を説明し、捜査支援、情報分析、技術的助言、無害化措置などを区別しておけば、危機発生時の認識のずれを縮小できる。
官民連携の目標は、民間企業の責任を政府へ移すことでも、政府の判断を企業に委ねることでもない。各主体が担うべき責任を明確にし、情報共有と意思決定を連動させることで、企業の自助努力だけでは対処できない脅威に対して、法的正当性と実効性を備えた対応を可能にすることである。
サプライチェーン・クラウド事業者のセキュリティ強化
本件は、クラウドサービスを利用する企業や個人が、自ら管理していない計算環境の安全性に大きく依存しているという構造的な問題を浮き彫りにした。GMOの公表によれば、今回の事案ではサービスのシステムにセキュリティ上の問題が存在し、不正アクセスと利用者情報の外部流出が確認されたため、個別の利用者による対策だけでは防ぎ切れないリスクが存在したことになる。
クラウドサービスの安全性は、事業者が提供する設備だけでなく、利用者の認証情報の管理、管理画面へのアクセス制御、ソフトウェアの更新、監視体制、バックアップ、障害時の復旧手順など、複数の要素によって決まる。サービスの一部に侵害が生じた場合でも、影響範囲を限定し、他の利用者や別のシステムへの横展開を防ぐ設計が必要となる。
特に、金融取引に利用される仮想専用サーバーでは、取引口座の認証情報が保存されている可能性があり、サーバーの侵害が利用者の金融資産に直結し得る。したがって、一般的なウェブ閲覧や文書保管に用いる環境と同じ基準だけでなく、保存される情報の重要性や、侵害時に生じる損失の大きさを考慮した安全管理が求められる。
技術面では、管理者権限の分離、多要素認証、通信の暗号化、利用者ごとの環境分離、異常な認証や通信の検知、重要情報の安全な保管、操作履歴の保全などが基本となる。加えて、攻撃者が管理者権限を取得した場合でも被害を局限できるよう、重要な認証情報を通常の作業環境に長期間保存しない設計や、機密情報へのアクセスを必要最小限に抑える仕組みが重要である。
一方、セキュリティ対策を個々の事業者の自主努力だけに委ねると、対策に投じられる資金や人材の違いによって安全性に格差が生じる可能性がある。顧客情報や金融取引に関係するサービスを提供する事業者については、リスクに応じた安全管理基準、定期的な検証、重大な事故の報告、復旧計画の整備などを促進し、対策の実施状況を継続的に確認することが望ましい。
ただし、全ての事業者に一律に同じ設備や運用を義務付けることが最適とは限らない。事業規模、取り扱う情報、提供サービスの社会的重要性、想定される被害の大きさに応じて必要な対策を定め、中小事業者に対しては技術支援や人材育成を組み合わせることで、実行可能性と安全性を両立させる必要がある。
サプライチェーン全体の安全性を確保するためには、直接契約している事業者だけでなく、その事業者が利用する外部サービス、ソフトウェア、運用委託先なども視野に入れなければならない。攻撃者が防御の強い大企業を直接狙う代わりに、管理体制の弱い委託先や関連事業者を侵害し、そこから本来の標的へ侵入する可能性があるためである。
また、重大な侵害が発生した際には、サービスを停止する判断と、証拠を保全して原因を調査する作業を両立させる必要がある。安全を優先した停止は被害拡大を防ぐうえで重要だが、ログや不正プログラムの解析に必要な情報を失わないよう、隔離、証拠保全、調査、復旧を計画的に進める体制が求められる。
本件でGMOは、被害を受けた現行基盤をそのまま再開せず、独立したクラウド基盤を用いる代替サービスへの移行と、セキュリティ構造の刷新を進める方針を示した。この対応は、侵害された環境の単純な復旧ではなく、被害の原因となった可能性のある構造そのものを見直す必要性を示している。
政府による犯罪組織への先制攻撃は可能か？
能動的サイバー防御をめぐる議論では、政府がサイバー犯罪組織のサーバーへ先回りして侵入し、攻撃能力を破壊できるのかという疑問が生じる。しかし、法的・政策的に重要なのは、「先制攻撃」という表現が指す行為を明確に区別することである。攻撃の兆候を把握して被害を防止すること、犯罪に使用される設備を法令に基づいて無害化すること、相手のシステムを広範に破壊することは、同じ行為ではない。
日本の能動的サイバー防御制度は、重大なサイバー攻撃に対して被害を未然に防ぎ、または拡大を防止するため、一定の条件の下で通信情報の分析や攻撃に使用される設備等へのアクセス・無害化措置を可能にする枠組みである。これは、犯罪組織と疑われる主体のシステムを政府が無制限に破壊できる一般的な権限を認めるものではない。
第1に、攻撃者の設備を対象とする措置では、対象の特定が重要となる。攻撃通信の発信元として記録された設備が、犯罪組織自身の管理下にあるとは限らず、侵害された一般企業のサーバーや、複数の利用者が共用するクラウド設備である可能性もある。そのため、通信の痕跡だけを根拠に設備を停止したり、内部のデータを削除したりすれば、無関係な第三者に被害が及ぶ危険がある。
第2に、国内法上の権限と国際法上の問題を区別する必要がある。外国に所在する設備へアクセスする行為は、対象国の主権や法制度との関係が問題となり得るため、日本国内で適法に実施できる措置が、そのまま外国の領域でも無条件に認められるとは限らない。外国政府との協力や捜査共助、現地法に基づく手続きなどを通じて対応することが、実務上必要になる場合もある。
第3に、措置の目的と範囲には比例性が求められる。攻撃を停止させるために必要なアクセスや設定変更と、攻撃者のシステム全体を破壊する行為とでは、対象への影響も法的評価も異なる。被害防止のために必要な最小限の措置を選び、より侵襲的な手段を採る場合には、その必要性と相当性を厳格に検討する必要がある。
第4に、犯罪組織の無害化と、外国政府による国家的なサイバー攻撃への対処も区別しなければならない。金銭目的の犯罪集団と国家の支援を受けた攻撃主体では、動機、組織構造、能力、攻撃の目的が異なる可能性がある。攻撃者の帰属を十分な証拠によって評価せずに国家の関与を断定すれば、外交上の緊張や誤った対抗措置につながるおそれがある。
したがって、政府による「先制攻撃」が可能かという問いに対しては、攻撃者の設備を法定要件に従って無害化することと、犯罪組織に対して無制限の破壊行為を行うことを分けて答える必要がある。前者は法律上の条件と手続きを満たす場合に認められ得るが、後者が一般的に許容されるわけではない。
GMOの事案についても、企業が攻撃基盤の追跡・遮断・無害化を政府に要請したことと、政府が実際に攻撃者の設備へアクセスする権限を行使できることは別問題である。攻撃の重大性、対象設備の特定、攻撃主体の属性、実施可能な措置、第三者への影響を確認したうえで、法的根拠に即して判断することが不可欠となる。
今後の展望
今後の日本のサイバー安全保障政策では、能動的サイバー防御の権限を整備する段階から、その権限を適切かつ迅速に運用し、実際の被害軽減につなげる段階への移行が重要となる。制度の成果は、政府が強い措置を何回実施したかではなく、重大な攻撃をどれだけ早期に検知し、被害を抑え、攻撃の再発を防ぎ、権限行使の適法性と透明性を維持できたかによって評価されるべきである。
第1の方向性は、官民の情報共有を実務面から強化することである。重大なサイバー攻撃が発生した場合に、企業からの報告を受け付け、技術的な分析を行い、警察や関係省庁へ迅速につなぐ窓口を整備する必要がある。報告の様式や緊急度の分類を標準化し、複数の企業で発生した事象を横断的に分析できれば、個別の被害だけでは把握できない共通の攻撃基盤や攻撃手法を発見しやすくなる。
第2の方向性は、政府の対処能力を技術面から強化することである。攻撃者が使用する設備の特定、悪意のあるプログラムの分析、通信経路の追跡、無害化措置の影響評価には、高度な技術と専門人材が必要となる。政府機関が専門性を継続的に蓄積するとともに、民間のセキュリティ事業者や研究機関との連携を深め、実際の事案を想定した訓練を重ねることが望ましい。
第3の方向性は、法的な判断基準と監督の実効性を高めることである。制度の運用に際しては、発動要件の解釈、対象設備の特定、措置の必要性と相当性、第三者への影響、実施後の検証などについて、実務で参照できる基準を整える必要がある。同時に、権限行使の状況を適切に監督し、個別の作戦上の秘密を保護しながら、制度全体の運用状況や成果を国民に説明できる仕組みを確保することが重要である。
第4の方向性は、企業側の防御と政府側の対処を一体として考えることである。政府が攻撃基盤の無害化を実施できたとしても、侵入されたサービスの脆弱性が残っていれば、攻撃者や別の主体が再び侵入する可能性がある。企業には安全なシステム設計、認証情報の保護、異常検知、復旧計画の整備が求められ、政府による措置はそれらを代替するのではなく、企業単独では対処できない脅威を補完するものとして位置付けるべきである。
第5の方向性は、国際協力を実効的なものにすることである。サイバー犯罪の攻撃基盤が複数の国にまたがる場合、国内の措置だけで攻撃者の活動を完全に停止させることは難しい。各国の法執行機関との情報共有、証拠保全、捜査共助、クラウド事業者との連携などを通じて、攻撃者の活動基盤を継続的に把握する仕組みが必要となる。
第6の方向性は、制度の運用成果を継続的に検証することである。例えば、初動対応に要した時間、重大な被害の回避状況、攻撃基盤の再利用率、同種攻撃の再発状況、第三者に生じた影響、被害企業の復旧期間などを指標として整理すれば、制度が実際にどの程度の効果を上げているかを評価しやすくなる。これらの指標は単純な件数競争に用いるのではなく、制度上の問題や改善点を把握するために活用するべきである。
GMOの事案は、民間企業の深刻な被害が国家レベルのサイバー対処を求める契機となった点で、今後の制度運用を考えるうえで重要な問題提起である。ただし、政府による措置の適用可否や効果は、攻撃の重大性だけでなく、法的要件、技術的な証拠、対象設備の特定、実施可能な措置の範囲などによって左右される。今後は、本件のような事案を通じて運用上の課題を検証し、企業の防御能力、政府の対処能力、法的統制、国際協力を総合的に強化していくことが求められる。
制度の実効性をどう測るか
本件の政策的な意味は、能動的サイバー防御の制度が実際の民間被害に直面した際、政府がどのような情報を基に、どの法的根拠によって、どの範囲まで対応できるのかという問題が具体化したことにある。制度の運用開始から間もない段階で、企業が「発動第1号」としての適用を求めたことは、制度への社会的期待が高い一方、企業が求める被害停止と国家が実施する安全保障上の措置との関係について、共通理解が十分に形成されていない可能性を示している。
もっとも、政府が要請を受けたことと、法律上の発動要件が満たされたことは別であり、本件をもって制度の適用が決定したと評価することはできない。また、攻撃者の属性や外国政府との関係が確定していない段階では、国家が関与するサイバー攻撃と、金銭目的の犯罪集団による攻撃を混同せず、技術的な証拠と法的な評価を積み重ねる必要がある。
政策評価においては、少なくとも3つの観点を区別することが望ましい。第1は、攻撃の検知や被害の封じ込めがどれほど迅速に行われたかという運用上の評価、第2は、政府による措置が法令に適合し、必要性と相当性を備えていたかという法的評価、第3は、被害者救済、再発防止、攻撃基盤の縮小など、社会全体にどのような効果をもたらしたかという政策上の評価である。
これらを分けて検証することで、政府が無害化措置を実施しなかった場合でも、法的要件を満たさなかったのか、証拠が不足していたのか、別の対処手段が適切だったのかを分析できる。反対に措置を実施した場合も、実施した事実だけで成功と判断せず、第三者への影響や攻撃の再発状況を含めて評価する必要がある。
まとめ
GMOインターネットによる能動的サイバー防御の緊急要請は、日本のサイバー安全保障政策が、制度の整備から実際の運用と成果の検証へ移行する局面で生じた重要な事案である。サーバーへの不正アクセスが利用者の金融資産に被害を及ぼし、企業自身によるサービス停止や補償だけでは攻撃者の活動を根本的に止められない可能性が示されたことで、官民の責任分担と国家の対処能力が改めて問われた。
本稿の分析から導かれる結論は、能動的サイバー防御の実効性は、政府に強力な権限があるかどうかだけでは決まらないということである。攻撃の早期検知、民間からの情報提供、攻撃主体と対象設備の特定、法的要件の確認、関係機関の連携、適切な無害化措置、被害者救済、再発防止が連続して機能する必要がある。
また、企業が政府に措置を要請することと、政府がその措置を法的に実施できることは区別しなければならない。被害が深刻であっても、攻撃の性質や対象設備を十分に特定できなければ実施可能な措置が制限される場合があり、制度上の権限が存在しても、それだけで即時の被害停止が保証されるわけではない。
今後の優先課題は、官民の情報共有を迅速化し、緊急時の判断経路を明確にするとともに、クラウド事業者やサプライチェーン全体の防御能力を引き上げることである。同時に、政府による権限行使を適切に監督し、法的正当性、第三者への配慮、国際法との整合性を確保しなければならない。
最終的に、能動的サイバー防御は、民間企業のセキュリティ対策や通常の犯罪捜査を置き換える制度ではなく、それらを補完して重大なサイバー脅威に対処するための仕組みとして運用されるべきである。GMOの事案を制度の成功または失敗と早急に断定するのではなく、事実関係と政府の判断を継続的に検証し、実際の被害軽減につながる制度運用へ改善していくことが、日本のサイバー安全保障政策に求められる。
参考・引用リスト
企業による公表資料
GMOインターネット株式会社「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）お客様へのお見舞金のお支払いと不正取引による損失の補償について」（2026年10月24日）
不正アクセスの確認、利用者情報の外部持ち出し、被害拡大防止策、補償方針、政府関係機関への要請、発生から公表までの経緯を確認するための一次資料。
政府・公的機関の資料
内閣府「サイバー対処能力強化法及び同整備法の施行に関する関係省庁会議」（2026年9月）
2026年10月1日の関連規定の施行に向けた政府の準備状況と、関係省庁の連携体制を確認する資料。
経済産業省「サイバー対処能力強化法及び同整備法の全体像」（2026年4月）
官民連携、通信情報の利用、アクセス・無害化措置、独立機関による事前審査・継続的検査など、制度の全体構造を理解するための資料。
国家サイバー統括室「サイバー対処能力強化法及び同整備法の施行について」関連資料
制度の運用開始に関する政府の公式発表、官民連携の強化、関係機関の役割を確認するための資料。
国家公安委員会「国家公安委員会委員長記者会見要旨」（2026年10月1日）
アクセス・無害化措置の施行、警察・関係省庁・防衛省などの連携、実施体制の整備に関する政府側の説明を確認する資料。
報道機関の資料
TBS CROSS DIG with Bloomberg「『民間事業者単独で根絶は困難』…不正アクセス受けたGMOが政府に『能動的サイバー防御』緊急要請」（2026年10月24日）
GMOの緊急要請、利用者の被害証言、補償方針、攻撃者とみられる者からの金銭要求などを確認する報道資料。
ITmedia NEWS「GMO、『能動的サイバー防御』発動を政府に要請 『お名前.com』FX用VPSへの攻撃で」（2026年10月24日）
GMOによる要請の内容と、能動的サイバー防御の制度的背景を確認する報道資料。
ITmedia NEWS「『能動的サイバー防御』きょう開始 警察・自衛隊などが攻撃元サーバを無害化」（2026年10月1日）
制度の運用開始、関係機関の役割、基幹インフラ事業者との情報共有、資産届出・インシデント報告などを確認する資料。